Политика обработки персональных данных

Платформа Lugovets (облачный сервис CRM для цветочного бизнеса)

В отношении персональных данных Пользователей сервиса (арендаторов) — представителей, контактных лиц и индивидуальных предпринимателей, регистрирующихся и использующих сервис

СТАТУС ДОКУМЕНТА. Настоящий документ является черновиком (draft) для утверждения владельцем сервиса и проверки квалифицированным юристом. Он подготовлен в помощь и не является юридической консультацией. До публикации необходимо: заполнить реквизиты Оператора; подать уведомление об обработке персональных данных и получить регистрационный номер в реестре операторов Роскомнадзора (статья 22 152-ФЗ); подать (при наличии трансграничной передачи) отдельное уведомление о намерении осуществлять трансграничную передачу персональных данных ДО начала такой передачи (часть 3 статьи 12 152-ФЗ); согласовать сроки хранения и контактные данные; провести юридическую экспертизу формулировок о трансграничной передаче и об основаниях обработки.

ВАЖНО О РАЗГРАНИЧЕНИИ РОЛЕЙ. Настоящая Политика регулирует обработку персональных данных самих Пользователей сервиса (арендаторов) — то есть данных физических лиц, выступающих от своего имени, от имени организаций или в качестве индивидуальных предпринимателей, которые регистрируются в сервисе Lugovets и используют его. В отношении этих данных Lugovets является Оператором в значении пункта 2 статьи 3 152-ФЗ. Настоящая Политика НЕ регулирует обработку персональных данных конечных покупателей (клиентов) Пользователя-арендатора. В отношении персональных данных покупателей арендатора Lugovets выступает лицом, осуществляющим обработку персональных данных по поручению оператора (далее также — «обработчик»), в соответствии с частью 3 статьи 6 152-ФЗ; при этом Оператором в отношении персональных данных своих покупателей является сам арендатор, который самостоятельно определяет цели и состав обрабатываемых данных, обеспечивает наличие правовых оснований (в том числе согласий покупателей, информирование субъектов и подачу собственного уведомления в Роскомнадзор, если оно требуется именно арендатору) и несёт обязанности оператора перед своими покупателями. Порядок обработки Lugovets таких данных по поручению регулируется отдельным Соглашением о порядке обработки персональных данных (поручение на обработку, DPA), заключаемым между Lugovets и арендатором и отвечающим требованиям частей 3–5 статьи 6 152-ФЗ. Распределение ответственности между Оператором (арендатором) и обработчиком (Lugovets) в отношении данных покупателей определяется указанным Соглашением; в силу части 5 статьи 6 152-ФЗ перед субъектом (покупателем) ответственность несёт оператор-арендатор, а обработчик отвечает перед оператором. Не следует смешивать эти роли: настоящая Политика — только о данных самих арендаторов.

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с пунктом 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и определяет политику Оператора в отношении обработки персональных данных, порядок такой обработки и реализуемые меры по обеспечению безопасности персональных данных.

1.2. Политика действует в отношении всех персональных данных Пользователей сервиса (арендаторов), которые Оператор может получить в связи с регистрацией в сервисе Lugovets, заключением и исполнением договора (оферты) на использование сервиса, а также в процессе использования сервиса.

1.3. Политика применяется при обработке персональных данных как с использованием средств автоматизации, так и без использования таких средств (смешанная обработка), если при этом обработка соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации.

1.4. Используемые в Политике термины («персональные данные», «оператор», «обработка персональных данных», «лицо, осуществляющее обработку персональных данных по поручению оператора», «субъект персональных данных», «трансграничная передача персональных данных», «обезличивание», «блокирование», «уничтожение» и др.) применяются в значениях, установленных статьёй 3 152-ФЗ.

1.5. Действующая редакция Политики размещена в свободном доступе на сайте сервиса по адресу: [АДРЕС СТРАНИЦЫ ПОЛИТИКИ, например https://lugovets.ru/legal/privacy-tenant]. Обеспечение неограниченного доступа к настоящему документу является исполнением обязанности Оператора, предусмотренной частью 2 статьи 18.1 152-ФЗ.

1.6. Использование сервиса Пользователем означает, что Пользователь ознакомлен с настоящей Политикой. Настоящая Политика является информационным документом, раскрывающим подход Оператора к обработке персональных данных; правовые основания обработки определяются разделом 3 Политики. Настоящая Политика сама по себе не является согласием субъекта на обработку персональных данных и не подменяет такое согласие там, где оно требуется по закону.

1.7. Услуги сервиса предоставляются Пользователям — субъектам предпринимательской деятельности (индивидуальным предпринимателям и юридическим лицам) и лицам, действующим от их имени, для использования в предпринимательских (профессиональных) целях, не связанных с личными, семейными, домашними и иными подобными нуждами. Отношения по предоставлению сервиса не являются отношениями с потребителем в значении Закона РФ от 07.02.1992 № 2300-1 «О защите прав потребителей», и положения указанного закона к ним не применяются. Настоящее положение не затрагивает прав физических лиц как субъектов персональных данных, которые в полном объёме гарантируются им 152-ФЗ независимо от характера отношений.

2. Оператор и его реквизиты

2.1. Оператором, организующим и (или) осуществляющим обработку персональных данных Пользователей сервиса, а также самостоятельно определяющим цели обработки и состав обрабатываемых персональных данных, является:

• Наименование (ИП/ООО): [РЕКВИЗИТЫ: полное наименование, например ИП Луговец Илья Сергеевич / ООО «____»]
• ОГРН/ОГРНИП: [РЕКВИЗИТЫ]
• ИНН: [РЕКВИЗИТЫ]
• Адрес (место нахождения / регистрации): [РЕКВИЗИТЫ: полный почтовый адрес]
• Адрес электронной почты для вопросов по персональным данным: [РЕКВИЗИТЫ, например privacy@lugovets.ru]
• Контактный телефон: [РЕКВИЗИТЫ]
• Регистрационный номер в реестре операторов, осуществляющих обработку персональных данных (Роскомнадзор): [РЕКВИЗИТЫ — заполнить после регистрации уведомления, поданного в порядке статьи 22 152-ФЗ; до получения номера указать «уведомление подано / в процессе регистрации»]

2.2. Лицо, ответственное за организацию обработки персональных данных (статья 22.1 152-ФЗ): [РЕКВИЗИТЫ: ФИО / должность], контакт: [email].

2.3. Все обращения, запросы и заявления по вопросам обработки персональных данных направляются по реквизитам, указанным в пунктах 2.1–2.2 и разделе 11 Политики.

3. Правовые основания обработки

3.1. Оператор обрабатывает персональные данные Пользователей сервиса при наличии хотя бы одного из следующих правовых оснований (часть 1 статьи 6 152-ФЗ):

3.1.1. Исполнение договора (оферты), стороной либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также заключение договора по инициативе субъекта персональных данных (пункт 5 части 1 статьи 6 152-ФЗ). Это основное основание: обработка данных контактного лица / представителя / индивидуального предпринимателя необходима для регистрации, заключения и исполнения договора на использование сервиса, предоставления доступа к личному кабинету и оказания услуг (статьи 435–438, 779–781 Гражданского кодекса Российской Федерации). В отношении данных представителей и сотрудников Пользователя-организации, не являющихся стороной договора, обработка осуществляется на основании пункта 7 части 1 статьи 6 152-ФЗ (см. пункт 3.1.3); их данные предоставляются Оператору самим Пользователем-организацией, который обеспечивает правомерность их передачи и информирование указанных лиц.

3.1.2. Соблюдение требований законодательства — обработка необходима для достижения целей, предусмотренных законом, для осуществления и выполнения возложенных на Оператора законодательством функций, полномочий и обязанностей (пункт 2 части 1 статьи 6 152-ФЗ): бухгалтерский и налоговый учёт, выставление и хранение расчётных (первичных) документов, формирование кассовых чеков в соответствии с Федеральным законом от 22.05.2003 № 54-ФЗ.

3.1.3. Осуществление прав и законных интересов Оператора либо третьих лиц при условии, что при этом не нарушаются права и свободы субъекта персональных данных (пункт 7 части 1 статьи 6 152-ФЗ): обеспечение информационной безопасности сервиса, предотвращение мошенничества и злоупотреблений, ведение претензионной работы и защита прав и законных интересов в досудебном и судебном порядке, ведение служебной переписки и технической поддержки, обработка данных представителей и контактных лиц Пользователей-организаций.

3.1.4. Согласие субъекта персональных данных (пункт 1 части 1 статьи 6, статья 9 152-ФЗ) — в случаях, когда обработка не охватывается основаниями 3.1.1–3.1.3, в частности:

• для направления Пользователю рекламных и информационных сообщений о продуктах, обновлениях, акциях и предложениях сервиса (распространение рекламы по сетям электросвязи допускается только при условии предварительного согласия адресата — часть 1 статьи 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»);
• для трансграничной передачи персональных данных в случаях, описанных в разделе 8, когда наличие согласия требуется в соответствии с частью 4 статьи 12 152-ФЗ.

3.2. Согласие на обработку персональных данных в случаях, предусмотренных пунктом 3.1.4, предоставляется Пользователем посредством проставления отметок (чекбоксов) в электронной форме при регистрации либо в личном кабинете и (или) совершения иных конклюдентных действий. В соответствии с Федеральным законом от 06.04.2011 № 63-ФЗ «Об электронной подписи» и статьями 434, 438 Гражданского кодекса Российской Федерации такие действия рассматриваются как использование простой электронной подписи и подтверждают волеизъявление субъекта персональных данных. Согласие на трансграничную передачу и иные согласия, для которых законом установлена письменная форма, оформляются отдельно с соблюдением требований части 4 статьи 9 152-ФЗ. Факт, дата, время предоставления согласия, версия (хеш) текста согласия, а также сетевые идентификаторы (IP-адрес, сведения о браузере/устройстве) фиксируются и хранятся Оператором как доказательство получения согласия.

3.3. Согласие, предоставленное для целей, указанных в пункте 3.1.4, может быть отозвано субъектом персональных данных в любое время в порядке, предусмотренном разделом 7 (часть 2 статьи 9 152-ФЗ). Отзыв такого согласия не прекращает обработку, осуществляемую на иных правовых основаниях (пункты 3.1.1–3.1.3), и не влияет на получение Пользователем сервисных (транзакционных) уведомлений, направляемых в рамках исполнения договора. После отзыва согласия Оператор вправе продолжить обработку персональных данных без согласия субъекта при наличии оснований, указанных в пунктах 2–11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 152-ФЗ.

4. Цели обработки

4.1. Оператор обрабатывает персональные данные Пользователей сервиса исключительно для следующих заранее определённых и законных целей:

4.2. Обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей. Не допускается обработка персональных данных, несовместимая с целями, перечисленными в пункте 4.1. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой (часть 3 статьи 5 152-ФЗ).

4.3. Обработке подлежат только персональные данные, которые отвечают целям их обработки; содержание и объём обрабатываемых персональных данных соответствуют заявленным целям и не являются избыточными по отношению к ним (части 4, 5 статьи 5 152-ФЗ). Состав и объём обрабатываемых данных минимизированы и соответствуют разделу 5.

5. Категории субъектов и персональных данных. Минимизация состава

5.1. Категории субъектов персональных данных:

• физические лица — представители (руководители, уполномоченные сотрудники, контактные лица) Пользователей-организаций;
• физические лица, зарегистрированные в качестве индивидуальных предпринимателей, использующие сервис в предпринимательских целях;
• иные физические лица, чьи контактные данные предоставлены Пользователем при регистрации в качестве контактного лица аккаунта.

5.2. Состав обрабатываемых персональных данных (минимально необходимый):

5.2.1. Идентификационные и контактные данные контактного лица / представителя / ИП:

• фамилия, имя, отчество (при наличии и при предоставлении);
• адрес электронной почты;
• номер контактного телефона;
• должность и наименование организации, от имени которой действует лицо (при наличии).

5.2.2. Реквизиты для заключения договора и расчётов (часть из них может относиться к данным юридического лица и не являться персональными данными в строгом смысле, однако обрабатывается в едином массиве):

• для ИП: ФИО, ОГРНИП, ИНН, адрес (при необходимости — для документов и чеков);
• для организаций: наименование, ОГРН, ИНН/КПП, юридический/почтовый адрес, банковские реквизиты;
• сведения, необходимые для формирования кассового чека по 54-ФЗ.

5.2.3. Учётные и технические данные, формируемые при использовании сервиса:

• логин (адрес электронной почты), хеш пароля (пароль в открытом виде не хранится);
• сведения о согласиях (дата, время, версия текста, источник, IP-адрес, сведения о браузере/устройстве);
• журналы событий и действий в сервисе, IP-адрес, дата и время доступа, технические идентификаторы сессии — в объёме, необходимом для безопасности и работоспособности;
• история обращений в техническую поддержку и содержание служебной переписки;
• сведения о подписке, тарифе, статусе и истории платежей.

5.3. Оператор НЕ обрабатывает в рамках настоящей Политики:

• специальные категории персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни — статья 10 152-ФЗ);
• биометрические персональные данные (статья 11 152-ФЗ);
• полные данные платёжных карт (реквизиты карт обрабатываются непосредственно платёжным сервисом ЮKassa; Оператор их не получает и не хранит).

Если Пользователь по собственной инициативе передаёт Оператору (в том числе через формы, обращения в поддержку или запросы AI-ассистента) данные, не предусмотренные пунктом 5.2, такая передача осуществляется по усмотрению Пользователя; Оператор не запрашивает подобные данные и вправе их не обрабатывать и (или) удалить.

5.4. Минимизация. Оператор собирает только те данные, которые необходимы для целей раздела 4. Предоставление данных, отмеченных при регистрации как обязательные, необходимо для заключения и исполнения договора; при их непредоставлении регистрация и оказание услуг невозможны. Предоставление иных данных осуществляется по усмотрению Пользователя.

5.5. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных, без согласия субъекта или иного основания, предусмотренного законом (статья 16 152-ФЗ). Использование автоматизированных средств в сервисе (включая AI-функции) осуществляется в качестве вспомогательного инструмента и не заменяет решений, принимаемых Пользователем.

6. Порядок и сроки обработки. Передача третьим лицам

6.1. Действия (операции) с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение, обезличивание. Обработка осуществляется автоматизированным, неавтоматизированным и смешанным способами.

6.2. Сбор данных. Персональные данные предоставляются Пользователем самостоятельно при регистрации и использовании сервиса. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 152-ФЗ). Серверная инфраструктура сервиса, на которой осуществляются указанные операции в отношении граждан Российской Федерации, размещена на территории Российской Федерации.

6.3. Сроки обработки и хранения. Персональные данные обрабатываются в течение срока, необходимого для достижения целей обработки, а именно:

• в течение срока действия договора (использования сервиса) и до истечения [СРОК, например 3 (трёх) лет] после его прекращения — для целей возможной претензионной и судебной работы (с учётом общего срока исковой давности по статье 196 Гражданского кодекса Российской Федерации);
• бухгалтерские и налоговые документы, а также данные кассовых чеков — в течение сроков, установленных законодательством о бухгалтерском учёте, Налоговым кодексом Российской Федерации и 54-ФЗ ([СРОК, например не менее 5 (пяти) лет]);
• данные, обрабатываемые на основании согласия (пункт 3.1.4), — до отзыва согласия или до достижения цели обработки, если иной срок не установлен законом или договором;
• журналы безопасности — в течение срока, необходимого для целей информационной безопасности, [СРОК, например до 1 (одного) года].

По достижении целей обработки либо в случае утраты необходимости в их достижении, а также по истечении указанных сроков персональные данные подлежат уничтожению или обезличиванию (часть 4 статьи 21 152-ФЗ), если иное не предусмотрено федеральным законом. Хранение данных, для которых сохраняется самостоятельное правовое основание обработки (в частности, в силу пунктов 3.1.2, 3.1.3), осуществляется до прекращения такого основания.

6.4. Передача (предоставление, доступ) третьим лицам. Оператор передаёт персональные данные третьим лицам только в объёме, необходимом для достижения целей обработки, и на основании договоров, предусматривающих соблюдение конфиденциальности и требований 152-ФЗ. В случае поручения обработки персональных данных другому лицу (часть 3 статьи 6 152-ФЗ) Оператор заключает с таким лицом договор (поручение), в котором определены перечень действий (операций) с персональными данными, цели обработки, обязанность соблюдать конфиденциальность и обеспечивать безопасность данных, а также требования к их защите. Перечень привлекаемых лиц носит ориентировочный характер и может изменяться; актуальный состав поддерживается Оператором:

6.5. Оператор вправе предоставлять персональные данные государственным органам, органам местного самоуправления и иным лицам по основаниям и в порядке, установленным законодательством Российской Федерации (по законному запросу суда, правоохранительных органов, иных уполномоченных органов).

6.6. Оператор не осуществляет передачу персональных данных Пользователей третьим лицам в целях, не указанных в настоящей Политике, за исключением случаев, предусмотренных законодательством Российской Федерации.

7. Права субъектов персональных данных

7.1. Субъект персональных данных имеет право (статьи 14, 20, 21 152-ФЗ):

• на получение информации, касающейся обработки его персональных данных, в объёме, предусмотренном частью 7 статьи 14 152-ФЗ (подтверждение факта обработки, правовые основания и цели обработки, применяемые способы, наименование и место нахождения Оператора, сведения о лицах, имеющих доступ к данным, перечень обрабатываемых персональных данных и источник их получения, сроки обработки и хранения, порядок осуществления прав субъекта, сведения об осуществлённой или предполагаемой трансграничной передаче и др.);
• на доступ к своим персональным данным и ознакомление с ними;
• требовать уточнения (исправления) персональных данных в случае их неполноты, неточности или неактуальности;
• требовать блокирования или уничтожения персональных данных в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных в случаях, когда обработка осуществляется на основании согласия (часть 2 статьи 9 152-ФЗ);
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке (часть 2 статьи 17 152-ФЗ);
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке (часть 1 статьи 17 152-ФЗ).

7.2. Запрос (обращение) субъекта должен содержать сведения, предусмотренные частью 3 статьи 14 152-ФЗ: номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи и выдавшем органе (либо иные сведения, подтверждающие факт обработки данных Оператором), сведения, подтверждающие участие субъекта в отношениях с Оператором (номер договора и (или) аккаунта, дату заключения договора либо иные сведения), а также подпись субъекта или его представителя. Запрос направляется по реквизитам, указанным в разделе 11. Оператор предоставляет ответ (сведения) в срок, не превышающий 10 (десяти) рабочих дней со дня обращения; указанный срок может быть продлён, но не более чем на 5 рабочих дней, с уведомлением субъекта о причинах продления (часть 1 статьи 20 152-ФЗ).

7.3. Отзыв согласия осуществляется путём направления заявления по реквизитам раздела 11 либо посредством соответствующих настроек в личном кабинете (для рекламных рассылок — также по ссылке отписки в сообщении или командой отписки в боте). После получения отзыва согласия Оператор прекращает обработку, осуществлявшуюся на основании этого согласия, в срок, не превышающий 30 дней с даты поступления отзыва, если отсутствует иное правовое основание для продолжения обработки (часть 5 статьи 21 152-ФЗ).

7.4. В случае выявления неправомерной обработки персональных данных Оператор в срок, не превышающий 3 рабочих дней с даты выявления, прекращает неправомерную обработку (часть 3 статьи 21 152-ФЗ). В случае достижения цели обработки Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней с даты достижения цели, если иное не предусмотрено договором или законом (часть 4 статьи 21 152-ФЗ). При обращении субъекта с требованием о блокировании или об уточнении данных Оператор осуществляет блокирование на период проверки и далее — уточнение либо уничтожение в сроки, установленные статьями 20, 21 152-ФЗ.

8. Трансграничная передача персональных данных

8.1. По общему правилу обработка персональных данных Пользователей в рамках настоящей Политики осуществляется на территории Российской Федерации, и трансграничная передача персональных данных самих арендаторов не требуется и не осуществляется.

8.2. Исключение — AI-функции (ассистент) сервиса. При добровольном использовании Пользователем AI-функций сервиса обработка запросов может осуществляться с привлечением иностранных поставщиков моделей искусственного интеллекта, что может влечь трансграничную передачу содержания запросов. В таком случае:

8.2.1. До начала осуществления трансграничной передачи персональных данных Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о своём намерении осуществлять такую передачу (часть 3 статьи 12 152-ФЗ). Трансграничная передача осуществляется с соблюдением статьи 12 152-ФЗ. До момента подачи указанного уведомления и обеспечения необходимых правовых оснований трансграничная передача не осуществляется, а соответствующие AI-функции, требующие такой передачи, не предоставляются или предоставляются без трансграничной передачи.

8.2.2. При передаче персональных данных на территорию иностранного государства, не обеспечивающего адекватной защиты прав субъектов персональных данных (не включённого в перечень таких государств, утверждаемый уполномоченным органом, и не являющегося стороной Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных), Оператор обеспечивает наличие надлежащего правового основания, предусмотренного частью 4 статьи 12 152-ФЗ, в том числе получает согласие субъекта персональных данных в письменной форме на трансграничную передачу его персональных данных, когда такое согласие требуется. Оператор учитывает право уполномоченного органа принять решение о запрете или об ограничении трансграничной передачи в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов граждан (части 8–11 статьи 12 152-ФЗ).

8.2.3. Оператор минимизирует объём передаваемых данных: в запросы AI-ассистента не включаются прямые идентификаторы Пользователя сверх необходимого; передаётся содержание запроса, сформированного самим Пользователем. По возможности применяется маскирование (обезличивание) прямых идентификаторов до передачи. Пользователю не рекомендуется включать в запросы к AI-ассистенту персональные данные третьих лиц (в том числе своих покупателей); ответственность за состав данных, добровольно включённых Пользователем в запрос, несёт Пользователь.

8.2.4. Использование AI-функций является добровольным. Пользователь вправе не использовать AI-функции и (или) отозвать согласие на трансграничную передачу; при этом основная функциональность сервиса остаётся доступной.

8.3. Перечень иностранных поставщиков AI-функций, целей и условий передачи приводится в личном кабинете и (или) в условиях соответствующего модуля и подлежит актуализации при изменении состава поставщиков. [ОТКРЫТЫЙ ВОПРОС: подтвердить фактический состав AI-поставщиков и юрисдикции; определить, требуется ли отдельное письменное согласие на трансграничную передачу по ч.4 ст.12; подать уведомление о намерении осуществлять трансграничную передачу по ч.3 ст.12 ДО начала передачи.]

9. Меры по обеспечению безопасности персональных данных

9.1. Оператор принимает необходимые и достаточные правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных (пункт 2 части 1 статьи 18.1, часть 1 статьи 19 152-ФЗ), в том числе:

Организационные меры:

• назначение лица, ответственного за организацию обработки персональных данных (статья 22.1 152-ФЗ);
• издание Оператором документов, определяющих политику в отношении обработки персональных данных, и локальных актов по вопросам обработки и защиты персональных данных;
• ограничение и разграничение доступа сотрудников к персональным данным по принципу минимально необходимых полномочий;
• ознакомление сотрудников, осуществляющих обработку, с требованиями законодательства и внутренними документами; обязательства о конфиденциальности;
• осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных требованиям 152-ФЗ и принятым в соответствии с ним нормативным актам.

Технические меры:

• размещение баз данных на территории Российской Федерации;
• шифрование данных при передаче (TLS) и применение средств защиты данных при хранении;
• хранение паролей в виде необратимых хешей;
• логическая изоляция данных разных Пользователей (мультиарендность), контроль доступа и аутентификация (в т.ч. многофакторная — где применимо);
• ведение журналов (логов) доступа и событий безопасности, резервное копирование;
• регулярное обновление и контроль защищённости компонентов сервиса.

Перечень мер носит описательный характер; конкретный состав и параметры мер определяются внутренними документами Оператора и могут изменяться в целях поддержания установленного уровня защищённости. Указание отдельной меры в настоящей Политике не является самостоятельной гарантией Оператора перед Пользователем и не создаёт обязательств сверх установленных законодательством Российской Федерации.

9.2. Оператор определяет угрозы безопасности персональных данных при их обработке в информационных системах персональных данных и обеспечивает выполнение требований к защите персональных данных, исполнение которых обеспечивает установленный уровень защищённости, в соответствии с постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

9.3. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов персональных данных, Оператор уведомляет уполномоченный орган (Роскомнадзор): в течение 24 часов с момента выявления инцидента — о произошедшем инциденте, предполагаемых причинах и предполагаемом вреде, принятых мерах; в течение 72 часов — о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента (при их установлении), в порядке частей 3.1 и 3.2 статьи 21 152-ФЗ. Взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА) осуществляется в порядке, предусмотренном законодательством Российской Федерации.

10. Актуализация, исправление, удаление и уничтожение данных. Изменение Политики

10.1. Субъект персональных данных вправе требовать уточнения (исправления) своих персональных данных, их блокирования или уничтожения в случаях, предусмотренных законом (раздел 7). Уточнение данных Пользователь может произвести самостоятельно в личном кабинете либо путём обращения к Оператору.

10.2. По достижении целей обработки, при отзыве согласия (в отсутствие иных правовых оснований обработки) или по истечении сроков хранения (пункт 6.3) Оператор прекращает обработку и уничтожает (или обезличивает) персональные данные в сроки, установленные статьёй 21 152-ФЗ, если иное не предусмотрено законодательством Российской Федерации.

10.3. Оператор вправе вносить изменения в настоящую Политику в одностороннем порядке. Действующая редакция с указанием даты вступления в силу размещается по адресу, указанному в пункте 1.5. При существенных изменениях, затрагивающих права субъектов, Оператор уведомляет Пользователей доступными способами (в личном кабинете и (или) по электронной почте). Изменения вступают в силу с даты размещения новой редакции, если иная дата не указана в самой редакции. Продолжение использования сервиса после вступления изменений в силу означает ознакомление Пользователя с изменениями. Дата последнего обновления указывается в конце Политики.

11. Контакты и порядок обращений

11.1. Все обращения, запросы, заявления (включая отзыв согласия, запрос сведений об обработке, требование об уточнении / блокировании / удалении данных) направляются Оператору:

• Электронная почта: [РЕКВИЗИТЫ, например privacy@lugovets.ru]
• Почтовый адрес: [РЕКВИЗИТЫ]
• Телефон: [РЕКВИЗИТЫ]
• Лицо, ответственное за организацию обработки ПДн: [РЕКВИЗИТЫ: ФИО / должность]

11.2. Орган, уполномоченный по защите прав субъектов персональных данных: Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), сайт: rkn.gov.ru.

12. Ответственность

12.1. Оператор несёт ответственность за неисполнение или ненадлежащее исполнение обязанностей по обработке и защите персональных данных в соответствии с законодательством Российской Федерации. Объём, основания и пределы такой ответственности определяются законодательством Российской Федерации; настоящая Политика не расширяет ответственность Оператора по сравнению с установленной законом.

12.2. Имущественная ответственность Оператора и Пользователя по договору на использование сервиса (включая основания, пределы и порядок возмещения убытков, а также допускаемое для отношений между субъектами предпринимательской деятельности ограничение размера ответственности — пункт 4 статьи 421, статья 401 Гражданского кодекса Российской Федерации) определяется договором (офертой) и нормами Гражданского кодекса Российской Федерации. Настоящая Политика не регулирует договорную ответственность сторон. Соглашение об устранении или ограничении ответственности за умышленное нарушение обязательства ничтожно (пункт 4 статьи 401 Гражданского кодекса Российской Федерации); в части ответственности перед субъектами персональных данных за нарушение законодательства о персональных данных ограничения, установленные договором, не применяются.

Дата вступления в силу: [ДАТА] Версия: [например, v1.0 — draft]

Документ подготовлен как черновик для утверждения владельцем и проверки юристом. Не является юридической консультацией.